Eine Workload läuft auf Tausenden von EC2-Instances in einer VPC, die öffentliche und private Subnetze hat. Öffentliche Subnetze leiten 0.0.0.0/0 an ein Internet-Gateway weiter; private Subnetze leiten 0.0.0.0/0 an ein NAT-Gateway weiter. Sie müssen die Flotte auf IPv6 migrieren und dabei sicherstellen, dass Instances in privaten Subnetzen nicht über das öffentliche Internet erreichbar sind. Was sollte der Lösungsarchitekt tun?

Die korrekte Lösung besteht darin, der VPC und den Subnetzen einen von Amazon bereitgestellten IPv6-CIDR-Block zuzuweisen. Für private Subnetze muss ein Egress-Only Internet Gateway (EIGW) erstellt und die Routing-Tabelle der privaten Subnetze so aktualisiert werden, dass ::/0 an das EIGW geleitet wird. Ein EIGW ermöglicht ausgehenden IPv6-Verkehr von Instances in privaten Subnetzen ins Internet, verhindert aber eingehenden Verkehr, was die Anforderung erfüllt, dass die Instances nicht über das öffentliche Internet erreichbar sind. Die Option, ::/0 an ein Internet-Gateway zu leiten, würde eingehenden IPv6-Verkehr zulassen und damit die Sicherheitsanforderung verletzen. Die Option, ::/0 an ein NAT-Gateway zu leiten, ist falsch, da NAT-Gateways derzeit kein IPv6 unterstützen. Die Verwendung eines benutzerdefinierten IPv6-CIDR-Blocks ist zwar technisch möglich, aber Amazon empfiehlt die Verwendung der von Amazon bereitgestellten Blöcke für einfachere Verwaltung.